SynBench: A Benchmark for Differentially Private Text Generation¶
会议: NeurIPS 2026
arXiv: 2509.14594
论文: arXiv
领域: AI 安全 / AI Safety
关键词: 差分隐私, 合成文本生成, 成员推理攻击, 预训练污染, 隐私审计
一句话总结¶
针对差分隐私合成文本生成在长文本与垂直领域缺乏规范评估的问题，SynBench 构建了覆盖医疗、金融和法律 9 大高难度数据集的统一基准，通过黑盒离群点成员推理攻击揭示了公网预训练数据污染会虚假推高生成质量并导致名义 \((\epsilon,\delta)\)-DP 隐私保证实证失效。
研究背景与动机¶
大语言模型的参数扩展与能力涌现依赖海量高质量语料，但在医疗病历、金融交易流水和法律判例等高价值垂直领域，数据由于高度敏感性和严格法规监管（如 HIPAA、GDPR）无法直接跨机构共享或集中训练。直接在私有数据上微调大模型存在严重的逐字记忆与敏感实体泄露风险。利用差分隐私（Differential Privacy, DP）保障生成合成文本，理论上能够提供严格的数学界限以抵御再标识和成员推断，被视为打破数据孤岛的最有前景的技术路径。
然而，现有差分隐私文本生成研究陷入了严重的碎片化与过度乐观陷阱。一方面，已有方案大多仅在通用情感分析（如产品评论）或论文摘要等浅层公开数据上测试，回避了专有术语密集、超长上下文依赖（超过 3000 tokens）以及细粒度多标签分类等真实高风险场景的复杂性；更关键的是，许多基准测试数据早已被基础大模型的公网预训练语料所包含。当生成模型凭借无隐私保护的预训练记忆重现私有数据统计特征时，论文测得的高效用（Utility）和高保真度（Fidelity）便被严重高估，而这种利用未加约束的先验知识生成文本的做法完全游离在差分隐私的数学假设之外。此外，现有研究普遍缺乏严谨的实证隐私审计，仅依赖理论证明或简单的金丝雀（Canary）插入实验，使得实际泄露被长期掩盖。
针对预训练污染与缺乏端到端实证审计这一核心矛盾，SynBench 提出了首个面向真实复杂领域的差分隐私文本生成评测与审计框架。核心 idea：构建涵盖医疗、金融与法律 9 大垂直领域高壁垒语料库的统一评测基准，提出专门针对合成文本的无金丝雀极端离群点黑盒成员推理攻击（MIA），首次从量化角度证实了“公开预训练 + 私有差分隐私生成”范式会导致名义 DP 理论边界被实质性突破。
方法详解¶
整体框架¶
SynBench 将评测体系标准化为三大紧密协同的阶段：专有领域数据组织与特征提炼、跨范式差分隐私文本生成基准实现、以及多维效用-保真度-隐私联合审计。其工作流首先针对 9 个覆盖不同访问限制（公开、数据使用协议 DUA、资质凭证准入）和文档长度的垂直语料，抽取最易受到攻击的极端离群样本建立审计目标库；随后调用三大主流 DP 文本生成器（DP-Gen、AUG-PE、DP-Diffusion）在不同隐私预算 \(\epsilon \in \{0.5, 1, 2, 4, \infty\}\) 下合成文本；最后并行评估下游分类效用、语言学保真度以及基于真实样本的黑盒成员推理攻击。
%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400, 'subGraphTitleMargin': {'top': 8, 'bottom': 16}}}}%%
flowchart TD
A["私有领域敏感文本数据集<br/>9个垂直领域评测集 (医疗/金融/法律)"] --> B["极端离群点审计目标筛选<br/>高维嵌入最远1%样本与LOF局部离群点"]
B --> C["数据集切分与参考集构建<br/>划分D_prv与D_aux并构建4路平衡参考语料"]
C --> D["差分隐私文本生成基准<br/>DP-Gen / AUG-PE / DP-Diffusion多尺度生成"]
D --> E["基于平衡参考集的黑盒成员推理攻击<br/>评估合成语料n-gram概率增益ΔP与ROC-AUC"]
D --> F["多维效用与保真度评估<br/>下游分类F1评测与MAUVE/实体/长度散度分析"]
E --> G["预训练污染解耦与实证隐私上界检验<br/>Infini-gram污染样本剔除与经验ε破界诊断"]关键设计¶
1. 极端离群点审计目标筛选：构建最严苛隐私审计的黑盒测试边界
传统针对机器学习模型的隐私审计通常依赖人工构造并注入不自然的合成“金丝雀”（Canary）句子，或者对全数据集计算平均攻击成功率。但合成文本场景下插入金丝雀无法反映模型对真实复杂语料的泛化与泄露特征，且平均指标极易掩盖尾部个体的灾难性泄露。为模拟最真实且攻击能力极强的敌手，SynBench 直接从私有数据集 \(D\) 中筛选真实极端离群点作为审计目标集合 \(D_{\text{out}}\)。
该机制首先利用文本特征编码器（医疗领域使用 BioSimCSE-BioLinkBERT-BASE，通用/金融/法律使用 sentence-t5-base）提取全部文档的高维向量表示。随后，系统结合几何空间欧氏距离与密度估计双重准则：一方面提取距离全局质心最远的前 1% 样本点，另一方面利用局部离群因子（Local Outlier Factor, LOF）算法挖掘处于稀疏密度区域的局部离群样本。这些离群样本在语义空间孤立、缺乏周围相近邻居数据的掩护，在差分隐私梯度的裁剪与加噪过程中最容易暴露出独特的成员归属信号，构成了差分隐私机制抵御成员推断攻击的最严苛压力测试用例。
2. 基于平衡参考集的黑盒成员推理攻击：仅依赖合成文本的统计信号反推
在数据要素共享场景中，外界往往只能获取脱敏或合成后的纯文本数据集 \(\hat{D}\)，既无法访问生成模型的模型权重，也无法拿到推断时的输出 Logits。现有针对模型中间状态的白盒攻击在此完全失效。为此，SynBench 设计了一种无须模型内部状态、完全基于纯文本黑盒交互的平衡参考集成员推理攻击算法。
在剔除离群点集合 \(D_{\text{out}}\) 后，将剩余私有数据按 1:2 的比例切分为私有子集 \(D_{\text{prv}}\) 与辅助子集 \(D_{\text{aux}}\)。为了构建具备统计显著性的审计实验，框架从 \(D_{\text{prv}}\) 中独立重复采样 100 次生成 100 个私有训练分块 \(\{D_{\text{prv}}^i\}_{i=1}^{100}\)，每个分块有严格 50% 的先验概率包含某一个选定的离群样本 \(x_i \in D_{\text{out}}\)，并分别运行 DP 算法生成对应的合成数据集 \(\hat{D}_{\text{prv}}^i\)。与此同时，算法基于 \(D_{\text{aux}}\) 构建 \(M=4\) 个平衡参考子集 \(\{D_{\text{ref}}^1, \dots, D_{\text{ref}}^4\}\)，对每个审计目标 \(x_i\)，精确确保其中 2 个参考集包含 \(x_i\)，另外 2 个排除 \(x_i\)。在执行攻击时，敌手在合成语料 \(\hat{D}_{\text{prv}}^i\) 上拟合一个局部 \(n\)-gram 语言模型（实验证明 \(n=2\) 效果最佳）以计算目标序列的出现概率 \(P_{\text{ng}}(x_i)\)，同时计算 4 个参考集对应语言模型的平均概率 \(\bar{P}_{\text{ref}}(x_i)\)。最终成员攻击得分定义为概率差值：
若 \(\Delta P(x_i)\) 显著大于零，则强力指示该离群样本曾参与私有数据集生成。通过扫描分类阈值构建受试者工作特征曲线（ROC），并利用曲线下面积（AUC）定量评估信息泄露程度。
3. 预训练污染解耦与实证隐私上界检验：打破无差分隐私先验对数学保障的遮蔽
公网大模型预训练语料的黑盒性质使基准测试极易受到“伪泛化”干扰。SynBench 引入 Infini-gram 引擎在大规模开源网页预训练集（以 1.2T token 的 RedPajama 作为 LLaMA 预训练分布的代理基准）上进行逐词精确串匹配，定量统计各个“私有”数据集中被预先曝光的样本比例。为验证污染并非偶发噪声，设计了受控剔除实验：在受污染最严重的 PsyTAR 数据集上，按 25%、50%、75% 的比例阶梯式过滤被标记的污染样本，观察下游效用衰减曲线。
更重要的是，为了验证理论差分隐私界限是否被突破，SynBench 根据 Kairouz 等人给出的差分隐私最优假阳性率（FPR）与真阳性率（TPR）权衡理论上界，在不同假阳性率下反解出攻击者在经验层面上观测到的实证隐私预算 \(\epsilon_{\text{emp}}\)：
当根据实测 ROC 曲线计算出的经验点落在理论曲线外围时，即表明经验 \(\epsilon_{\text{emp}}\) 显著超越了系统声称的理论配置 \(\epsilon\)。该设计首次将差分隐私评估从传统的“形式化证明验证”推进到“端到端全链路违规检验”，定量揭示了上游无隐私预训练如何从物理上侵蚀下游差分隐私保护。
一个完整示例：极端离群样本的成员推断审计全流程¶
以医疗处方不良反应检测数据集 PsyTAR 中一条罕见药物副作用描述样本 \(x^*\) 为例，审计流程分五步展开： 1. 离群点锁定：经 BioSimCSE 编码后，样本 \(x^*\) 在局部空间密度与最近邻距离计算中进入前 1% 尾部区间，被正式标记为攻击目标 \(x^* \in D_{\text{out}}\)。 2. 生成语料库构造：系统分别构建含 \(x^*\) 与不含 \(x^*\) 的私有训练集各 50 份，由 DP-Gen（Llama-3-8B 微调，名义预算 \(\epsilon=0.5\)）在 DP-SGD 约束下生成 100 份独立的合成数据集 \(\hat{D}_{\text{prv}}^i\)。 3. 统计概率计算：在生成的合成文本上训练 2-gram 语言模型，计算 \(x^*\) 出现概率 \(P_{\text{ng}}(x^*)\)；在包含与不包含该样本的 4 个辅助参考集上分别计算基线概率并取均值 \(\bar{P}_{\text{ref}}(x^*)\)。 4. 差分信号放大：由于该样本含有特定罕见专有名词搭配，含该样本的生成模型在微调后使得 \(P_{\text{ng}}(x^*)\) 显著高于未包含组，导致攻击分值 \(\Delta P(x^*) = 0.042 > 0\)。 5. 经验隐私破界：收集全量目标离群点的预测分值绘制 ROC 曲线，在低假阳性率区间 \(\text{FPR} \in [0.1, 0.2]\) 内，实际真阳性率 \(\text{TPR}\) 达到 0.38，对应反推所得的实证经验 \(\epsilon_{\text{emp}} \approx 1.34\)，远超算法声称的名义预算 \(\epsilon=0.5\)，直接判定该私有生成过程发生了形式化隐私失效。
损失函数 / 训练策略¶
评测基准所涉及的生成模型训练遵循各自的差分隐私机制： - DP-Gen (dp-transformers)：基于自回归语言建模损失，在每步迭代中对每个训练样本的梯度范数进行全局裁剪（Clipping bound \(C\)），并在累加梯度中注入高斯噪声 \(\mathcal{N}(0, \sigma^2 C^2 I)\)，隐私损失通过 Rényi 差分隐私（RDP）累加器严格追踪并转换为最终的目标 \((\epsilon, \delta)\)。在显存优化上，通过修改 Opacus 优化器数据类型并集成 Flash-Attention 以支持长文档训练。 - AUG-PE：通过 API 驱动，首先利用私有文本提取特征直方图统计量，采用高斯机制对特征分布添加差分隐私噪声；随后在迭代生成阶段向 LLM 提示词输入加噪后的统计特征，通过多轮文本迭代演化使其对齐私有分布，单次查询的隐私开销通过敏感度分析控制。 - DP-Diffusion：基于扩散去噪打分匹配损失，在离散或连续嵌入空间通过反向去噪过程建模文本分布，训练阶段同样在反向去噪网络的参数更新时注入 DP-SGD 梯度噪声。 - 下游分类评测配置：所有下游判别模型（BERT-large、BioClinicalBERT、ProsusAI-finbert、Legal-BERT 等）均在合成数据上训练 5 个 epoch，学习率 \(2 \times 10^{-5}\)，并在真实独立的原始验证集上评估微观/宏观 F1。
实验关键数据¶
主实验¶
SynBench 评估了 DP-Gen、AUG-PE 和 DP-Diffusion 在 9 大数据集、5 种隐私预算下的下游任务可用性与文本保真度。表 1 汇报了在最具代表性的高壁垒医疗、金融和法律数据集上下游分类模型的 F1 得分对比（对比真实数据训练上限及随机/多数类基线）。
| 数据集 (基线) | 下游评测模型 (真实数据上限) | 生成算法 | \(\epsilon=\infty\) (无隐私) | \(\epsilon=4\) | \(\epsilon=2\) | \(\epsilon=1\) | \(\epsilon=0.5\) |
|---|---|---|---|---|---|---|---|
| HoC 肿瘤标志 (随机: 3.7 / 多数: 9.1) |
BERT-large (71.9) | DP-Gen AUG-PE DP-Dfs |
51.0 16.8 38.9 |
14.8 9.7 17.1 |
15.7 6.6 19.6 |
10.1 7.8 19.3 |
14.7 5.2 19.1 |
| PsyTAR 药物副作用 (随机: 25.4 / 多数: 41.8) |
BERT-large (80.4) | DP-Gen AUG-PE DP-Dfs |
70.1 66.1 64.9 |
44.0 62.6 19.6 |
42.5 60.4 19.2 |
37.6 57.4 22.1 |
38.7 47.3 – |
| MIMIC 病历分诊 (随机: 48.8 / 多数: 44.0) |
BiomedBERT (76.5) | DP-Gen AUG-PE DP-Dfs |
70.1 64.9 65.8 |
64.6 65.1 36.9 |
61.0 62.6 43.4 |
62.1 59.5 56.1 |
46.2 60.8 59.6 |
| DMSAFN 金融新闻 (随机: 30.5 / 多数: 41.1) |
ProsusAI-finbert (78.1) | DP-Gen AUG-PE DP-Dfs |
60.4 43.8 51.1 |
40.9 43.2 20.6 |
40.8 41.5 23.4 |
40.4 41.5 – |
40.7 41.6 – |
| AsyLax 难民法律推理 (随机: 38.4 / 多数: 51.4) |
legal-bert-base (69.0) | DP-Gen AUG-PE DP-Dfs |
61.5 49.6 51.5 |
27.5 51.4 39.8 |
27.6 51.5 15.3 |
47.2 52.9 27.7 |
27.6 51.4 51.4 |
在分布保真度方面，表 2 汇报了代表性语料在不同隐私等级下的 MAUVE 得分（\(\mathcal{M}\uparrow\)）、命名实体分布散度（\(\mathcal{N}\downarrow\)）与文本长度分布散度（\(\mathcal{L}\downarrow\)）。真实数据同源对比基准显示，原始语料的 MAUVE 得分均在 0.86～0.99 之间，实体散度低于 2.2，长度散度低于 0.012。
| 数据集 | 生成算法 | \(\epsilon=\infty\) (\(\mathcal{M}/\mathcal{N}/\mathcal{L}\)) | \(\epsilon=4\) (\(\mathcal{M}/\mathcal{N}/\mathcal{L}\)) | \(\epsilon=2\) (\(\mathcal{M}/\mathcal{N}/\mathcal{L}\)) | \(\epsilon=1\) (\(\mathcal{M}/\mathcal{N}/\mathcal{L}\)) | \(\epsilon=0.5\) (\(\mathcal{M}/\mathcal{N}/\mathcal{L}\)) |
|---|---|---|---|---|---|---|
| HoC (原数据: 0.99/2.19/0.004) |
DP-Gen AUG-PE DP-Dfs |
0.65 / 3.71 / 0.06 0.01 / 3.80 / 1.49 0.01 / 4.70 / 0.06 |
0.18 / 5.26 / 0.40 0.01 / 3.92 / 1.40 0.01 / 6.49 / 0.36 |
0.16 / 5.23 / 0.42 0.01 / 4.06 / 1.35 0.01 / 6.62 / 0.37 |
0.14 / 5.18 / 0.44 0.01 / 4.45 / 1.25 0.01 / 6.86 / 0.42 |
0.12 / 5.21 / 0.47 0.01 / 4.72 / 1.25 0.01 / 6.97 / 1.04 |
| PsyTAR (原数据: 0.99/1.08/0.007) |
DP-Gen AUG-PE DP-Dfs |
0.61 / 2.60 / 0.03 0.02 / 4.38 / 3.21 0.06 / 2.62 / 0.12 |
0.42 / 3.17 / 0.03 0.02 / 4.62 / 3.27 0.01 / 8.08 / 0.16 |
0.34 / 3.24 / 0.05 0.02 / 4.87 / 3.23 0.01 / 8.28 / 0.06 |
0.37 / 3.63 / 0.03 0.02 / 5.24 / 3.34 0.01 / 8.59 / 0.07 |
0.35 / 3.71 / 0.03 0.02 / 5.49 / 3.38 – / – / – |
| DMSAFN (原数据: 0.86/1.23/0.012) |
DP-Gen AUG-PE DP-Dfs |
0.21 / 2.40 / 0.06 0.01 / 3.85 / 2.36 0.01 / 10.0 / 0.12 |
0.18 / 2.84 / 0.02 0.01 / 4.41 / 2.35 0.01 / 9.53 / 0.43 |
0.16 / 2.74 / 0.04 0.01 / 4.66 / 2.34 0.01 / 9.49 / 0.37 |
0.15 / 3.04 / 0.03 0.01 / 5.17 / 2.24 – / – / – |
0.12 / 3.04 / 0.06 0.01 / 4.63 / 2.30 – / – / – |
消融实验¶
为了确凿证实“高下游效用来源于预训练数据污染而非差分隐私泛化”，SynBench 在标记有 416 条潜在污染样本的 PsyTAR 数据集（全量 5102 条）上执行阶梯式受控数据清洗，并评估 DP-Gen 在 \(\epsilon=2\) 下的下游 F1 变化（10 次重复试验取均值与 95% 置信区间）。
| 污染样本剔除比例 | 下游分类均值 F1 \(\uparrow\) | 95% 置信区间 (\(\pm\)) | 相对基线降幅分析 |
|---|---|---|---|
| 排除 25% 污染样本 | 43.753 | 1.9161 | 原始污染状态下效用最高点 |
| 排除 50% 污染样本 | 43.275 | 1.2361 | 剔除更多记忆线索后效用呈单调下降 |
| 排除 75% 污染样本 | 42.515 | 1.3395 | 效用进一步单调跌落 1.24 个百分点 |
此外，表 4 比较了下游模型分别在合成数据（SYN）与真实私有数据（PRI）上训练时，面对三种主流成员推理攻击（RMIA、LiRA、Logits 攻击）的 ROC-AUC 防御表现。结果表明，当模型在无 DP 的合成数据上训练时，泄露风险最高（RMIA AUC 在 PsyTAR 达 0.65，DMSAFN 达 0.60）；而在 PsyTAR 上，使用 \(\epsilon=2\) 的 DP 合成数据训练分类器，其遭受 RMIA 攻击的 AUC（0.57）甚至高于直接在私有数据上采用 DP 训练分类器的 AUC（0.52），凸显出合成数据管道与预训练污染交织带来的反常风险。
| 数据集 | 训练数据来源与隐私配置 | RMIA 攻击 AUC | LiRA 攻击 AUC | Logits 攻击 AUC |
|---|---|---|---|---|
| DMSAFN | SYN (No DP / \(\epsilon=\infty\)) | 0.60 | 0.49 | 0.60 |
| DMSAFN | SYN (\(\epsilon=2\)) | 0.54 | 0.45 | 0.48 |
| DMSAFN | PRI (No DP) | 0.45 | 0.50 | 0.54 |
| DMSAFN | PRI (\(\epsilon=2\)) | 0.49 | 0.49 | 0.54 |
| PsyTAR | SYN (No DP / \(\epsilon=\infty\)) | 0.65 | 0.61 | 0.62 |
| PsyTAR | SYN (\(\epsilon=2\)) | 0.57 | 0.61 | 0.61 |
| PsyTAR | PRI (No DP) | 0.45 | 0.48 | 0.45 |
| PsyTAR | PRI (\(\epsilon=2\)) | 0.52 | 0.57 | 0.51 |
关键发现¶
- 没有免费的午餐与理论界限破界：合成文本质量（MAUVE）越高的任务，其在预训练语料中的重合泄露度往往越高。在强隐私约束（\(\epsilon=0.5\)）下，AUG-PE 在 PsyTAR 与 N2C2'08 的低假阳性率区间（\(\text{FPR} \in [0.1, 0.2]\)）以及 DMSAFN 的高假阳性率区间，实证推算的经验 \(\epsilon\) 显著突破了理论数学边界线。
- 隐私预算与效用的非单调脱节：更严格的隐私约束（如从 \(\epsilon=4\) 收紧至 \(\epsilon=0.5\)）并未普遍伴随预期的性能暴跌；而在许多长文本和法律任务上，名义高预算（\(\epsilon=4\)）的生成效用甚至接近多数类盲猜，反映出当前差分隐私优化算法无法有效利用给定的隐私预算。
- DP 扩散模型在高噪声下的崩溃：DP-Diffusion 在小样本或低预算（\(\epsilon \le 1\)）下表现出极高的脆弱性，频繁崩溃退化为输出空串或乱码符号（如在 DMSAFN 和 PsyTAR 上 F1 断崖式跌落至不足 20% 甚至完全失效）。
- 参数规模扩展未能拯救差分隐私泛化：对比 Llama-3-1B、3B 和 8B 骨干，微调分类器的 F1 并未随参数量增加而稳定提升，仅 MAUVE 得分微弱增长，而这主要归因于大参数模型对预训练语料拥有更强的无约束记忆能力。
亮点与洞察¶
- 提出针对纯文本发布的黑盒离群点 MIA 审计范式：放弃了对白盒权重、内层激活或人工金丝雀的依赖，仅通过比较合成语料与平衡参考集的 \(n\)-gram 统计差异即可准确探测成员泄露，极大提升了在实际数据流通监管中的可操作性。
- 实证揭穿预训练污染对差分隐私的虚假繁荣支撑：“高质量合成文本”与“强差分隐私保证”在很大程度上是未受控预训练记忆造成的假象。当受污染样本被清洗后，差分隐私生成的效用呈单调衰减，证明了形式化数学界限在现实深度学习全生命周期中可能沦为空谈。
- 可复用的后处理过滤技巧：在附录实验中，作者提出基于提示词的零样本后处理打分过滤机制 \(P(\text{yes}) - P(\text{no})\)，能够在完全不消耗额外差分隐私预算的前提下（依赖 DP 后处理不变性），显著提升合成语料的 MAUVE 得分（在 DMSAFN 提升最高达 0.0406）。
局限与展望¶
- 审计计算开销过于昂贵：全套 MIA 审计协议需要对私有数据重复切分 100 次并分别执行昂贵的差分隐私文本生成，在长文本与大参数生成器（如 8B 模型）上耗费巨大的 GPU 算力，难以直接部署为实时的工业级隐私监控流水线。
- 预训练重叠检测依赖代理语料：由于主流顶尖基础模型（如最新 LLaMA 系列）的真实完整训练集并不公开，本文针对预训练污染的分析仅能以 RedPajama 作为代理，可能低估了商业专有模型在垂直领域的实际预训练暴露度。
- 未来方向：探索更具统计效率与算力经济性的单次生成实证审计算法，并研究在预训练阶段就内嵌差分隐私保证的基础语言模型，以彻底阻断跨阶段隐私污染。
相关工作与启发¶
- vs DP-transformers (Wutschitz et al., 2022)：DP-transformers 提供了标准自回归语言模型的 DP-SGD 微调工具，但在长上下文和专有领域面临显存与梯度裁剪偏置；SynBench 揭示了其在复杂领域上极低的分布保真度（MAUVE 往往低于 0.20），且大参数版本主要依靠预训练记忆。
- vs AUG-PE (Xie et al., 2024)：AUG-PE 采用黑盒 API 特征直方图差分隐私匹配，生成长文本速度快；但 SynBench 发现其在强隐私约束（\(\epsilon=0.5\)）下表现出严重的实证成员推断泄露，且在非结构化复杂长文本上往往无法准确捕捉实体分布。
- vs Canary's Echo (Meeus et al., 2025)：Meeus 等人采用人工构造合成 Canary 的方式审计文本模型隐私；SynBench 证明了真实私有数据中的极端几何离群点（Outliers）在不破坏自然语料分布的前提下，是比人造 Canary 更加严苛且贴合实际威胁模型的隐私泄露载体。
评分¶
- 新颖性: ⭐⭐⭐⭐⭐ [首次系统性探索并证实了无隐私公开预训练对下游差分隐私文本生成保证的破坏效应]
- 实验充分度: ⭐⭐⭐⭐⭐ [覆盖 9 大高难度垂直数据集、3 大典型 DP 生成范式、多尺度参数量及全套黑盒 MIA 审计]
- 写作质量: ⭐⭐⭐⭐⭐ [问题定义尖锐，逻辑严密，图表详实且理论分析与实证发现高度自洽]
- 价值: ⭐⭐⭐⭐⭐ [为差分隐私文本生成确立了全新的评测规范与红线，对医疗金融等高安全数据共享具有里程碑意义]